Contents

Introdução

Overview

Criar o pacote de pré-implantação

Criando o pacote de implantação

Hospedagem do pacote

Implantar o pacote

comandos MSI

Propriedades adicionais do MSI durante a instalação

Habilitar Bloqueio

Ocultar de Programas e Recursos

Implantação do Umbrella Profile (pós-instalação)

Desativação da funcionalidade VPN (pós-instalação)

Implantar a CA raiz da Cisco

Introdução

Este documento descreve o tutorial de implantação automatizada com o perfil Umbrella incluído no Cisco Secure Client (Windows).

Overview

A implantação do Cisco Secure Client (CSC) (antigo AnyConnect) com módulo Umbrella envolve estes componentes:

- Instalação do módulo VPN central do CSC

- Instalação do módulo de segurança de roaming Umbrella

- Instalação do Umbrella Profile (OrgInfo.json)

- Instalação do módulo Ferramenta de diagnóstico e relatórios (DART) (opcional)

Este artigo fornece um tutorial sobre como instalar esses componentes programaticamente (no Windows).  O Umbrella Profile é incorporado ao pacote de instalação adequado para instalação a partir de pastas compartilhadas.

Criar o pacote de pré-implantação

Essas etapas implantam o módulo Umbrella. Observe que a funcionalidade do Cisco VPN está completamente desativada. No entanto, o módulo VPN principal ainda deve ser instalado, pois é usado para interceptação subjacente de tráfego DNS.

Criando o pacote de implantação

1. Baixe o perfil do módulo de segurança de roaming Umbrella em seu Umbrella Dashboard. Implantações > Computadores em Roaming > Clientes em Roaming.

- O nome do arquivo baixado do perfil do módulo é Orginfo.json

2. Baixe o pacote "pré-implantação" do Umbrella Roaming Security Module para Windows de um destes locais:

- :software.cisco.com

- Notas de versão do Umbrella

3. Extraia o AnyConnect Client baixado e localize o número da versão.  Anote os nomes de arquivo e os números de versão no pacote extraído

27073502800788

4. Adicione o arquivo OrgInfo.json dentro da pasta "Profiles\Umbrella"* no mesmo diretório do instalador.  Esta etapa é crucial para que o módulo Cisco Umbrella registre-se automaticamente após a instalação. A estrutura de pastas deve ser semelhante a esta:
cisco-secure-client-win-X.X.XXXXX-core-vpn-predeploy-k9.msicisco-secure-client-win-win-X.X.XXXXX-umbrella-predeploy-k9.msicisco-secure-client-win-X.X.XXXXX-dart-predeploy-k9.msi\Profiles\umbrella\OrgInfo.json

Crie a subpasta \Profiles\Umbrella ao lado de seus arquivos MSI, se ela ainda não existir.

Hospedagem do pacote

O pacote deve ser distribuído aos usuários finais com a subpasta 'Profiles\Umbrella'.  Isso pode ser feito das seguintes maneiras:

- Uma pasta de rede compartilhada

- Software de gerenciamento de endpoints que oferece suporte à composição de pacotes de instalação de vários arquivos

Implantar o pacote

Os arquivos MSI agora podem ser simplesmente implantados usando o software de gerenciamento de endpoint ou com 'msiexec'.

comandos MSI

msiexec /package cisco-secure-client-win-X.X.XXXXX-core-vpn-predeploy-k9.msi PRE_DEPLOY_DISABLE_VPN=1 /norestart /passive /lvx* vpninstall.log

msiexec /package cisco-secure-client-win-X.X.XXXXX-umbrella-predeploy-k9.msi PRE_DEPLOY_DISABLE_VPN=1 /norestart /passive /lvx* umbrellainstall.log

msiexec /package cisco-secure-client-win-X.X.XXXXX-dart-predeploy-k9.msi /norestart /passive /lvx* dartinstall.log

IMPORTANTE:  Substitua X.X.XXXXX pelos números de versão corretos que correspondem aos seus nomes de arquivo MSI.

Certifique-se de que a opção PRE_DEPLOY_DISABLE_VPN=1 seja adicionada aos argumentos de instalação para desativar a funcionalidade de VPN. Como alternativa, omita esse argumento para ativar a funcionalidade de VPN.

Propriedades adicionais do MSI durante a instalação

Os pacotes de instalação da Cisco suportam várias propriedades MSI que podem ser alteradas durante a instalação.  As propriedades comumente usadas para o Cisco Umbrella são:

- LOCKDOWN = Como descrito, evita que o serviço seja desativado manualmente

- ARPSYSTEMCOMPONENT = Oculta o programa da lista "Programas e Recursos" do Windows

Para defini-las durante a instalação, use as mesmas etapas de instalação, mas passe as propriedades adicionais para o comando msiexec:

Habilitar Bloqueio

msiexec /package <MSI> /passive LOCKDOWN=1 /lvx*

Ocultar de Programas e Recursos

msiexec /package <MSI> /passive ARPSYSTEMCOMPONENT=1 /lvx*

Como alternativa, essas configurações do MSI podem ser configuradas fornecendo arquivos de transformação personalizados do instalador (arquivos .mst). Para obter mais informações, consulte Configurar o bloqueio do AnyConnect.

Implantação do Umbrella Profile (pós-instalação)

O erro comum "Profile is missing" indica que o módulo Cisco Umbrella está instalado, mas o perfil (OrgInfo.json) não está. Isso significa que o módulo Cisco Umbrella não pode se registrar no Cisco Umbrella ou ativar a proteção.

Observe que esse problema não ocorre se o perfil foi incorporado corretamente no pacote de instalação.

4435402655892

Se não for possível incorporar o perfil no pacote de instalação, ele poderá ser copiado separadamente para o endpoint usando uma tarefa ou script de instalação.  O perfil deve ser implantado neste local:

%PROGRAMDATA%\Cisco\Cisco Secure Client\Umbrella\OrgInfo.json

O script do PowerShell mostra um exemplo de como criar o OrgInfo.json programaticamente como uma tarefa pós-instalação.  Substitua os espaços reservados ORG_ID, FINGERPRINT e USER_ID pelos valores relevantes do seu perfil.

$org_file = "%PROGRAMDATA%\Cisco\Cisco Secure Client\Umbrella\OrgInfo.json"

$data=@"

{

"organizationId" : "ORG_ID",

"fingerprint" : "FINGERPRINT",

"userId" : "USER_ID"

}

"@

if(-not(Test-Path -Path $org_file))

{

$data > $org_file

}

Desativação da funcionalidade VPN (pós-instalação)

Se a funcionalidade de VPN não foi desabilitada durante a implantação, é possível desabilitá-la posteriormente ao implantar um perfil de VPN especial no dispositivo.  Consulte https://support.umbrella.com/hc/en-us/articles/18211951038740-How-to-hide-the-VPN-module-in-Cisco-Secure-Client-Windows

Implantar a CA raiz da Cisco

Para páginas de bloqueio sem erros e navegação HTTPS, é necessário confiar na Consulte o software de gerenciamento de endpoint para obter detalhes sobre como implantar centralmente uma Autoridade de Certificação.CA raiz do guarda-chuva Cisco para cada endpoint.